1. 课程导论与背景：多租户云原生环境下的网络隔离挑战
1.1 云原生多租户的“网络边界”困境
在 Kubernetes 与容器化架构成为基础设施标配的今天，多租户（Multi-Tenancy）已成为企业级云平台的核心需求。然而，传统的网络隔离手段——如 VLAN、VPC 对等连接、网络策略（NetworkPolicy）——在动态、高密度的容器环境中正面临严峻挑战。
核心矛盾： 租户隔离要求“强边界 + 可观测”，而云原生网络本质上是“扁平 + 动态 + 加密”的。传统基于 IP 或子网的静态隔离模型，在 Pod 频繁创建、销毁、迁移的场景下，既难以维护，又无法提供细粒度的流量可见性。
1.2 传统隔离方案的三大短板
| 方案 | 隔离粒度 | 动态适应性 | 观测能力 | 运维复杂度 |
|---|---|---|---|---|
| VLAN / VPC | 子网 / 节点 | 低（需手动配置） | 无（仅二层隔离） | 高 |
| K8s NetworkPolicy | Pod 标签 | 中（依赖 CNI 实现） | 弱（仅策略定义） | 中 |
| Service Mesh (Sidecar) | 应用层 | 高 | 强（但开销大） | 高 |
这些方案要么缺乏对加密流量（如 mTLS）的深度观测能力，要么在性能开销与运维复杂度上难以平衡。更重要的是，它们都无法在“内核态”提供统一的、与租户身份绑定的流量视图。
1.3 eBPF 技术如何重塑观测与安全边界
eBPF（extended Berkeley Packet Filter）的出现，为这一困境提供了全新的技术范式。它允许我们在不修改内核代码、不侵入应用进程的前提下，安全高效地注入观测与安全逻辑。
- 内核级上下文感知： eBPF 程序可以挂载在套接字（socket）、XDP、TC 等网络路径上，直接获取进程、容器、命名空间（namespace）与 cgroup 的关联信息。
- 租户身份绑定： 通过追踪 Pod 的创建事件与网络命名空间，eBPF 可以将每一个网络包精确映射到对应的租户、服务与工作负载。
- 零侵入观测： 无需在 Pod 内安装 Agent，无需修改应用代码，即可实现全量流量的采集与过滤。
- 安全策略执行： 在数据包到达 iptables 或 IPVS 之前，eBPF 即可基于租户身份执行允许/拒绝动作，实现真正的“身份驱动”安全边界。
关键洞察： eBPF 将网络观测与隔离的“锚点”从 IP 地址迁移到了“内核对象”（进程、命名空间、cgroup）。这使得隔离策略不再受 Pod IP 变化的干扰，同时为流量可视化提供了天然的结构化元数据。
1.4 多租户网络观测架构总览
下图展示了基于 eBPF 的多租户网络观测核心架构。从内核数据采集到租户级视图呈现，eBPF 贯穿了整个数据管道。
1.5 本课程的核心交付与学习路径
本课程将围绕“架构设计”与“流量可视化集成”两条主线，系统性地拆解 eBPF 在多租户网络观测中的落地实践。
- 架构设计篇： 从 eBPF 程序的生命周期管理、Map 数据结构设计，到多租户身份模型的抽象与策略引擎的构建。
- 流量可视化集成篇： 如何将 eBPF 采集的原始数据转化为租户级别的拓扑图、实时流量仪表盘与审计追溯系统。
- 实战案例篇： 基于 Cilium + Hubble 的租户隔离方案深度解析，以及自研 eBPF Agent 的代码实现。
前置要求： 建议学习者具备基本的 Kubernetes 网络概念（Pod、Service、NetworkPolicy）以及 Linux 内核基础（命名空间、cgroup）。无需深入的 eBPF 编程经验，课程将从原理到代码逐步展开。
1.6 为什么是现在？行业趋势与驱动力
| 驱动力 | 具体表现 | 对 eBPF 的需求 |
|---|---|---|
| 云原生安全左移 | 安全策略需要嵌入 CI/CD 与运行时 | eBPF 提供不可变基础设施下的动态策略执行点 |
| 可观测性深度要求 | 从“是否可达”到“谁在访问、延迟多少、是否加密” | eBPF 可捕获 L3-L7 全栈元数据 |
| 性能与密度压力 | 单节点数百 Pod，Sidecar 资源开销难以承受 | eBPF 在内核态完成处理，避免代理模式的开销 |
| 合规与审计需求 | 金融、医疗等行业要求租户级网络审计日志 | eBPF 可生成不可篡改的、带身份标签的审计记录 |
eBPF 正在从一项“内核调试利器”演变为“云原生基础设施的标准组件”。掌握 eBPF 网络观测与租户隔离技术，将成为云原生架构师与平台工程师的核心竞争力。